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ESCHRBIBUNG 



GEGEN UNBEFUGTE MANIPULATION GESICHERTES 
ZUGANGSBERECHTIGXJNGSVERFAHREN 

Die vorliegende Erfindung betriff t die Sicherheit von 
Computersystemen und insbesondere ein gegen 
Manipulation gesichertes Zugangsberechtigungsverfahren zur 
Kontrolle des Zugangs von Programmer Prozessen oder 
Benutzern zu Ressourcen, die von einem Computersystem 
definiert werden. 

Hierbei ist Bezug zu nehmen auf Peterson und Silberschatz, 
-Operating System Concepts", Copyright Addi son-Wesley 
Publishing Co. 1983, Kapitel 11, fl. 387-419, zum Thema 
Schutz, und auf Dorothy Denning, -Cryptography and Data 
Security", Copyright Addison-Wesley Publishing Co. 1982, 
Kapitel 4, S. 209-230. zum Thema Zugangskontrollen. 

Diese Referenzen beschreiben Mechanismen zur Kontrolle des 
zugangs von Progr ammen , Prozessen oder Benutzern zu 
Ressourcen, die von einem Computersystem defaxxiert werden. 
Sowohl Peterson als auch Denning f avorisieren of f enbar erne 
entweder statisch oder dynamisch implementierte Zugangsmatnx 
als schutzkonstrukt der Wahl in solchen Systemen. 

Das Matrixkonstrukt verwendet Reihen zur Darstellung von 
Domanen und Spalten zur Darstellung von Objekten. Jeder 
Eintrag in der Matrix besteht aus einer Menge von 
Zugangsrechten. Wenn ein Computer eine globale Tabelle 
enthielte, die aus einer Menge geordneter Tripel 
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,.* Obiekt <j>. Rechtemenge (k» bestunde, wurde 
<Benut Z erU>, Ob 3 ekt U), einem ob j ekt 0 O) 

r^"^^'^ ------- 

gefunden wird. 

Merkmale von beiden verexnt. 

Paar e < D .i). »•«>. «» ^ *-rr£^ \JL 

uine Fahigkeit ist ein Ticxet, w j 
sortiert smd. Erne Fanig* ver leiht. Der 

inhaber die Zugangsrechte R fur das Ob 3 ekt O 
So &e Besits bedeutet, da* der Sugang erlaubt x.t. 

• • ^hioS-Schlfissel-Mechanismus enthiilt jedes Objekt 
^^e^S- Bitter, - als "Schlo*- beseichnet 

wird. Somit kann exn UU> nur oa bestiinmten Art 

bekommen, wenn er Zugangsrechte R(W exner b 



hat. 



e t al. beschreiben in dem US-Patent *« 7 »*-=«^. 
!^atus for Controlling the Use of Computer Software , 
er^llt a, 13. Pezenfcer 1988, das Konstrukt der 
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v^t-T-olliste" . m diesem Fall dienen die 
-ZugangsKontro Ixste zu ^^en. 

* ZU9 " 9 Itt^ Mifcroprozessor auf EPROM-Bas is als 

7Z ^er ™ S-i -ordnung werden Anf orderungen 
dedxzxerten Termina ls ausgehen und fur 

zur Nutzung von Software, cue f -_ o . _ auna 

• rt w^h Rechner bestimmt sind, vor der Ubertragung 
einen Host-Recnner w vr-iterien, die 

^*lt jede Anforderung wird lie nach den Krxterxen, 

vermittelt . oeoe . . ^nfcweder mit 

in d er Sof twarelizenz der Benutzer genannt sxnd, entwede 

lr ohne Kon-nentar weitergeleitet oder 

■i al beschreiben in dem US-Patent 4.652.990, 

=Hr= rr. - 

CU-B a.s un-rlaubten Kopier^. Bei PaHen -«d -x« 
Bilfe eines interaktiven Prozesses zur Erzeugung 
ve"=h!usselter Hacorichten zwischen ei»e» anfordemden 
Z^ZZ Terminal u„d eine» Paar ve^ittlunssprozessoren 
S^Sr Ob Bender. *J*t und Kechte zueinandar passen, 
bevor der Zugang gewahrt wird. 

W olfe beschreibt im US-Patent 4.796.220, -Method of 

Controlling the Copying of Software", ertexlt 

1989. einen weiteren SchloS-Schlussel-Ansatz , bex de* 

Zxgurationsinfor.ationen berechtigter Te^nals 

einer Erlaubniscodeberechnung verwendet werden dxe von exn 

Host an das anfordemde Terminal gescnickt wxrd. Dxe 

Berec^ung wird an die einzelnen Anforderungen angeha.gt und 

SSLiLt bei spateren Zugrif fen des £ ^ 

Host zusau^en mit den Konf igurationsdaten als Schlussel zur 

Neuberechnung des Codes. 
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r, = tshb papier von S. vinter nit aem Titel • Extendi 
MscretLnarHccess Control <Seite *r «oc.e too. 

oTthe I^sIeee Sy^osiu* on Sec»it y ana Privacy OaKlana, 

«lSorni.. 18.-21. *«« =»• ~ ^ ^ 

b e S =hreib t die Kontrolle aer Zuaangsberech t 19 un3 - 
Ressourcen mit Hilfe von zugangskontroll^ten. Em Client 
TZ 7ut eta <M*t *» g rei £ en, venn seine M-titlt » exner 
^sLtrolliste erscnein,, aie -U einer Berecnt ig uno a u 
dem angeforderten Zugang verbunden ist. 

Un ter einem Aspekt stellt die" vorliegende Erfindung ein 
VerLL zur Kontrolle des Zugangs zu Computers sour c en 
lereirdie sicn in einem Host-Co^uter eines Computers^ 
^en, das den Host und eine Anzahl m von ^™*£T 
e^Llt/die zur Kommunikation mit dem Host verbunden smd, 
wobei das Verfahren folgende Schritt umfafct: 

(a) Aufrufen einer vorab berechneten List*, wenn eine 
Hitsstation Oder ein Benutzer den Zugang zu Ressourcen 
anfordem. wobei die Liste M Arbeitsstations- oder 
^™dentitaten sowie eine verschlusselte Darstellung der 
IZ N der Arbeitsstationen oder Benutzer entn.lt, dx. - 
Zugang zu den Ressourcen berechtigt sind, wobei N eme 
klelnere Zahl ist als K und die verschlusselte Darstellung 
von I ^ Hilfe eines Verscnlusselungsschlussels als Funkt.on 
der Host-Identitat und eines Versatzes gebildet wxrd; 

(b , Peststellen der Tiefe N, bis zu der die uiste durchsucht 
werden kann, durch EntschlUsselung der verschlusselten 
Darstellung des Parameters N mit Hilfe des 
Verschlttsselungsschlussels; und 
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„ T* e ntitat der Arbeitsstation oder des 
(c) vergleichen der Dienstean forderung stammt, 

Benutzers, von der ^ ~ ti0B-o oder Benutzer auf 

den Xdentitaten der - Arbeits ^ ^ Genehmigen 

der L iste, iedoch nur bx ^£^ ofcl|pE ^ w gefunden wird, 

^ = - .gang— .g. 

Manipulationen gesichert xst. 

^ Ausftthrungsbeispiel stellt die 
In einem bevorzugten Ausfu *^ unbefugfce Manipulationen 
vorliegende Erfindung e,n Be.echtigung zun, 

— ertes zwis cben eine* Host 

Zugang *u Saten oder Anwen g ^^ossenen 

einer vorbestimmten Zahl H von M g ^ m 

A^eitsstationen oder ^^J^^ f ur die 
der Host-Colter ^1^^ — - ^ 
verwaltung der P^ slSCh ^^ utzern SOW ie ein Mittel zum 
und M Arbeitsstationen oder B«*^ zuge hariger 

S peic,em der J;^*^^ — Host folgende 
infonoationen umfaSt una a 
Schritte umfaSt: 

Arbeitsstatxon oder ein «f 
anfordern, wobei 

,., A u £ ,ufen von ™™^ZTZ~™™^ « ^ 
Speicher»i«el soxie » »t.ttoi, 

«fc.lt»»tlon «S.r «» Benu«« «» aten sowie 

aie „is t e » "^"w «* «- ~* - 
eine verschlusselte Darstenung 
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Arbeitsstationen oder Benutzer enthalt, die zum Zugang zu 
Oder zu der Verbindung mit dem Host berechtigt sind, wobei 
die verschltisselte Darstellung von N mit Hilfe eines 
Verschlusselungsschlussels als Funktion der Host-Identitat 
und eines Versatzes gebildet wird; 

(b) Feststellen der Tiefe N, bis zu der die Liste durchsucht 
werden kann, durch Entschltlsselung der Darstellung mit Hilfe 
des Schlussels; und 

(c) Vergleichen der Identitat der Arbeitsstation oder des 
Benutzers, von der bzw. dem die Diensteanforderung stammt, 
mit den Identitaten der M Stationen oder Benutzer auf der 
Liste, jedoch nur bis zu einer Tiefe N, und Zuriickgeben einer 
Berechtigung nur dann, wenn eine Identitatsentsprechung 
gefunden wird. 

Es wird angenommen, daS eine solche Regelung ein gegen 
unbefugte Manipulationen gesichertes Verfahren zur Kontrolle 
der Zabl der Benutzer ist, die die Berechtigung zum Zugang zu 
lizenzierter Software in einem host-basierten System mit 
mehreren Terminals haben. Der Software fur ein solches 
Verfahren kann in die Module integriert werden, die ein 
lizenziertes Sof twareprodukt bilden. 

Das obige Verfahren beruht auf der unerwarteten Verwendung 
einer vers chliissel ten Form eines Parameters fur die Tiefe der 
Berechtigungsliste . Wie nachstehend beschrieben wird, erfolgt 
die Berechtigung zum Zugang zu Daten zwischen einem Host und 
einer vorbestimmten Zahl N < M angeschlossener 
Arbeitsstationen oder Benutzer. Der Host umfafet einen 
Kommunikationsserver fiir die Verwaltung der physischen 
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Datentibertragung zwischen dem Host und den M Arbeitsstationen 
oder Benutzern sowie ein Mittel zum Speichern der 
Zugangskontrollsoftware und zugeh5riger Informationen. 

Die erste Operation erfolgt beim Host und umfafct das Aufrufen 
der Zugangskontrollsoftware von dem Speichermittel und das 
Aufrufen einer vorab berechneten Liste. Diese Aufrufe 
erfolgen beide, wenn eine Arbeitsstation oder ein Benutzer 
einen Dienst anfordern. Die Liste umfa&t M Stations- oder 
Benutzer identitaten und eine verschliisselte Darstellung des 
Parameters N. N £ M stellt die Zahl der Arbeitsstationen dar, 
die zum Zugang zu oder zu der Verbindung mit dem Host 
berechtigt sind. 

Der Verschlusselungsschlussel ist eine Funktion der 
HostidentitSt und eines Versatzes. Unter "Versatz" ist hier 
eine Konstante zu verstehen, die arithmetisch mit der 
Hostidentitat koznbiniert wird, urn den Schlussel zu 
verschleiern. Die Hostidentitat kSnnte z,B. die Seriennummer 
des Hosts sein, die in dessen Speicher hart codiert ist, oder 
eine ganze Zahl, die additiv damit korribiniert wird. 

Die zweite Operation urafafet das Feststellen des Wertes des 
Tief enparameters N durch Entschlxisseln der Darstellung rait 
Hilfe des Schliissels. Der Wert N definiert die Tiefe, bis zu 
der die Liste durchsucht werden darf . 

Die dritte Operation verlangt, da£ die Identit&t des 
Diensteanf orderers bis zu dieser Tiefe mit den Elementen der 
Liste verglichen wird und eine Berechtigung nur dann 
zuruckgeben wird, wenn innerhalb dieser Tiefe eine 
Entsprechung festgestellt wird* Bedeutsarn ist, daS jede 
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Anderung in der Suchtiefe N deren Neuverschliisselung 
erf order t . 

Vorteilhaf terweise erfordert ein auf einem Host residentes 
lizenziertes Sof twareprodukt , von dem ein Teil in darauf 
zugreifende Terminals heruntergeladen werden kann, mit dem 
Verfahren der vorliegenden Erfindung nur einen einzigen 
Installationsschritt au&er der Regelung der Zahl der 
berechtigten Benutzer. Es erlaubt sogar die dynamische 
Berechtigung von Benutzern fur ein einzelnes Ger&t, denn der 
Verschlttsselungsschliissel ist eine Funktion der 
Hostidentitat. Zu beachten ist, da£ die Nutzung der 
Hostidentitat den Einsatz des Codes auf ein vorbestirnmtes 
System beschrankt . 

Die vorliegende Erfindung wird weiter exemplarisch unter 
Bezugnahme auf ein Ausfuhrungsbeispiel beschrieben, das in 
den beiliegenden Zeichnungen dargestellt ist, wobei gilt: 

Fig. 1 stellt ein System zum Herunter laden von der Host-CPU 
zur Arbeitsstation dar, und 

Figs, 2-5 zeigen Beispiele 1-4 fur Zugangskontrollisten. 

In Fig. 1 sind eine CPU 1 und mehrere iiber die Bahnen 9, 11, 
13 , 15 mit ihr verbundene Terminals 17, 19, 21, 23 zu sehen. 
In der folgenden Beschreibung soli davon ausgegangen werden, 
daS der CPU-Knoten unter einem Betriebssystem l&uft, das 
einen Kommunikationsserver ahnlich dem System verwendet, das 
entweder in n VM/ System Product Programmer's Guide to the 
Server-Requester Programming Interface for VM/System Product" 
(S. 6-7), IBM-Publikation SC24-5291-1, Dezember 1986, oder in 
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"TSO Extensions Programmer's Guide to the Server-Requester 
Programming Interface for MVS/XA" (S. 1-3). IBM-Publikation 
SC28-1309-1, September 1987, beschrieben ist. 

Andere Ressourcen von Recheneinrichtungen unterliegen den 
Betriebsgrundsatzen des IBM/370, wie sie im US-Patent 
3.400.371, "Data Processing System", von Amdahl et al. ( 
ausgestellt am 3. September 1968, beschrieben sind. 

Wie wiederum in Fig. 1 zu sehen ist, umfafct die CPU 1 
zusatzlich zu einer gewohnlichen Erganzung der 
Betriebssystemdienste vorzugsweise mindestens eine Anwendung, 
die in einer Kommunikationsbeziehung mit mindestens einem 
Terminal fiber eine Download-Schnittstelle zu einer 
Arbeitsstation ausgefiihrt werden kann, die uber einen 
bezeichneten Pfad auf sie zugreift. Es ist zu 
beriicksichtigen, daS lizenzierte Sof twareprodukte in Form von 
reinem Objektcode (OCO, Object Code Only) ausgedrvlckt sind. 
Sie sind nach einer strukturierten Programmsyntax 
zusammengefaSt, die haufig mehrere Module mit einem einzelnen 
Eingang und einem einzelnen Ausgang umfaSt (siehe J. E. 
Nicholls, "The Structure and Design of Programming 
Languages", The Systems Programming Series, Copyright 
Addison-Wesley Publishing Co. 1975, Kapitel 12 zum modularen 
Programmieren, insbes. S. 486). Daher sind in dem bevorzugten 
Ausftthrungsbeispiel ein Zugangskontrollprogramm (ACP, Access 
Control Program) und eine Zugangskontrolliste (ACL, Access 
Control List) unter den Produktiaodulen integriert. Sowohl die 
OCO-Produktform als auch die Verteilung von ACP und API. auf 
mehrere Module durfte sie gegen eine Isolierung und zufallige 
Betrachtung relativ immun raachen. 
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Zucrancrskontrolliste (ACL) 

Die ACL umfa&t vorzugsweise eine Datei, die einen 
Vorspanndatensatz enthSLLt, gefolgt von einem Datensatz pro 
berechtigtem Benutzer . Der Vorspanndatensatz gibt die Zahl 
der berechtigten Benutzer auf der Liste an. Wenn die 
Vorspanndatenscltze z.B. einen verschlusselten ganzzahligen 
Wert von drei enthalten, sind nur die ersten drei Benutzer 
auf der ACL berechtigt, die Download-Ubertragungsoperation 
auf zuruf en. 

Um einem Benutzer die Berechtigung zu erteilen , muS auf die 
Datenmenge (das Modul) zugegriffen werden, die die ACL 
enthalt und sich in der Host-CPU 1 befindet. An diesem Punkt 
kann im Einklang mit der im Vorspanndatensatz 
vorgeschriebenen Tiefe eine neue berechtigte ID eingegeben 
werden. Anzumerken ist hierzu, dafi die Datenmenge zusatzlich 
geschutzt werden 'kann, wie in der RACF (Ressource Control 
Facility, Ressourcenkontrolleinrichtung) von IBM beschrieben, 
die in der IBM-Publikation SC28-0733, "OS/VS2 MVS RACF 
Command Language Reference " , dargestellt ist. 

In den Figs. 2-5 sind Beispiele 1-4 fur Zugangskontrollisten 
gemaB der vorliegenden Erfindung zu sehen. In Fig. 2 sind 
vier Namen mit einer Parametertiefe von N=3 aufgefiihrt. Somit 
sind nur die Terminal- Oder Benutzeridentit&ten GEORG, HANS 
und MARIE berechtigt, ROSA dagegen nicht. In Fig* 3 
ubersteigt die zul&ssige Tiefe die Lange der Liste, so daS 
eine weitere Identit&t hinzugefugt werden kdnnte. Fig. 4 
zeigt eine Tiefe von 1, w&lirend Fig. 5 eine Liste mit einer 
anderen CPUID zeigt. Im letzten Fall wiirde der 
Tiefenparameter nicht entschliisselt , da der Schlussel eine 
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Funktion einer vorbestiromten CFUID zuzuglich eines Versatzes 
ist . 

In der Praxis stiitzen sich die Berechtigungs- und 
Zugangsmechanismen unabhangig davon, ob die Host-CPU sich in 
einem lokalen Netz befindet Oder eine VM mit angeschlossenen 
Terminals ist, vorwiegend auf einen PaSwor tvergleich . Bei 
einer falschen PaSworteingabe Oder bei wiederholt falscher 
Pafiworteingabe wird einfach der Zugang verweigert. Hi anderen 
Systemen, wie z.B. in der bereits erwahnten RACF, konnen 
andere Kriterien fiir die Kontrolle des Zugangs zum System 
verwendet werden, wie z.B. der Standort oder ein Wert eines 
Systemtakts. 

Zuaanaskontrollprocrra mm ( ACP ) 

Bs wird hier eine exeraplarische Pseudocodesequenz rait starken 
PASCAL-Untertonen gezeigt, deren Ausfuhrung das Verfahren der 
Erfindung beinhaltet. Bezeichnenderweise kann das ACP durch 

ACP{userid: char, encrypt: bool) boolean 

die Deklaration des ACP-Programms , entweder einmal pro 
angemeldeter Sitzung oder mehrmals aufgerufen werden (d,h. 
jedesmal, wenn eine Datenubertragung durchgefuhrt werden 
soil), wobei die Eingaben wie folgt definiert sind: 
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userid — eine Zeichenkette, die angibt, welche userid 
(Benutzerkennung) in der Zugangskontrolliste 
(ACL) gesucht werden soil 

encrypt - boolesche Variable (TRUE/WAHR, werm der ACL- 
Vorspann verschliisselt ist, und FALSE/FALSCH, 
wenn der ACL-Vorspann entschliisselt ist 

ACL - Zugangskontrolliste (Access Control List) 

Die Sequenz legt folgende Funktionen fest: 

(a) Sffnen der Datei, die die ACL enthalt. 

Begin 

Reset (ACL) 

(b) Lesen des Vorspanndatensatzes und Decodieren der 
Ti e f enebene N 

Read (ACL, header) ; 

If (encrypt) then begin 

max. depth = decrypt (header, get_ cpu_id) 

End; 

Implementiert wird dies durch Entschlusseln des 
Vorspanns mit einem Schussel, der nach irgendeinem 
bekannten Ver- und Entschliisselungsalgorithmus aus der 
CPU1D plus Versatz gebildet wird. Solche Algorithmen 
finden sich in Ehrsam et al. f US-Patent 4.227.253, 
"Cryptographic Communication Security for Multiple 
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Domain Networks n , erteilt am 7. Oktober 1980; Matyas et 
al., US-Patent 4.218.738, "Method for Authenticating the 
Identity of a User of an Information System" , erteilt am 
19. August 1980; sowie Meyer und Matyas, "Cryptography - 
New Dimension in Computer Data Security n . Copyright John 
Wiley & Sons 1982, 



Else begin 

max_depth = header 

End; 



Die Tiefenzahl im Vorspann ist klar. 



(c) Durchsuchen der ACL nach einer Entsprechung zwischen der 
ID des Anforderers und der Liste innerhalb des 
verschlusselten Tiefenbereichs N. 



i = 0; 

Not_found = TRUE; 

While (i < max_depth) and (not_found) do begin 
Readin (ACL_userid) 

IP <ACL_userid = user id) then begin 
not_found = FALSE; 

End; 

i - i + 1; 

End; 

Return (not_found) ; 

End; 



(d) Wenn eine Entsprechung gefunden wird (d.h. wenn der 

zuruckgegebene Wert (not_found) = FALSE ist) , Aufrufen 
der Anwendung, fur die die Berechtigung besteht, auf dem 
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Host. Anderenfalls (d.h. wenn der zuruckgegebene Wert 
(not_found) = TRUE ist) , Zuruckgeben einer Nachricht an 
die anfordernde Arbeitsstation, da£ keine Berechtigung 
bestebt . 

Wie der genannten Sequenz zu entnehmen sein dGrfte, sind die 
zwei kritischen Strukturen der Bedingungsbef ehl 
IF. , THEN. .ELSE zur Feststellung des Tief enparameters , gefolgt 
von der Schleife WHILE.. DO zum Durchsuchen der ACL nach einer 
Entsprechung . 
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ANSPRUCHE 

1 . Bin Verf ahren zur Kontrolle des Zugangs zu 

Con^uterressourcen, die sich in einem Host-Conputer 
eines Conputer systems befinden, das den Host und eine 
Anzahl M von Arbeitsstationen enthalt, die zur 
Kommunikation mit dem Host verbunden sind, wobei das 
Verfahren folgende Schritt umfa&t: 

(a) Aufrufen einer vorab berechneten Liste, wenn eine 
Arbeitsstation oder ein Benutzer den Zugang zu 
Ressourcen anfordern, wobei die Liste M 
Arbeitsstations- oder Benutzeridentitaten sowie 
eine verschliisselte Darstellung der Zahl N der 
Arbeitsstationen oder Benutzer enthalt, die zum 
Zugang zu den Ressourcen berechtigt sind, wobei N 
eine kleinere Zahl ist als M und die verschliisselte 
Darstellung von N mit Hilfe eines 

Verschlusselungsschlussels als Funktion der Host- 
Identitat und eines Versatzes gebildet wird; 

(b) Feststellen der Tiefe N, bis zu der die Liste 
durchsucht werden kann, durch EntschlUsselung der 
verschlusselten Darstellung des Parameters N mit 
Hilfe des Verschlusselungsschlussels; und 

(c) Vergleichen der Identitat der Arbeitsstation oder 
des Benutzers, von der bzw, dem die 

Diensteanf orderung stammt, mit den Identitaten der 
M Arbeitsstationen oder Benutzer auf der Liste, 
jedoch nur bis zu einer Tiefe N, und Genehmigen des 
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Zugangs, wenn eine Identi tat sent sprechung gefunden 
wird, anderenfalls hingegen Zurtickweisen der 
Zugangsanf orderung . 

Ein Verfaiiren nach Anspruch 1 zur Kontrolle der 
Zugangsberechtigung fiir Anwendungsprogramme, wobei der 
Zugang zu einem Anwendungsprogramm das Auf rufen des 
Anwendungsprogramms umfaSt und bei der Zuriickweisung 
einer Zugangsanforderung eine Zuruckweisungsnachricht an 
die anfordernde Arbeitsstation oder den anfordernden 
Benutzer geschickt wird. 

Ein Verfahren nach Anspruch 2, bei dem der Schritt des 
Auf rufen s der Liste das Auf rufen von 

Zugangskontrollsof tware umfa£t, wobei die Liste und die 
Zugangskontrollsof tware in das Anwendungsprogramm 
integriert sind. 

Ein Verfahren nach einem der obigen Anspruche, bei dem 
die Anordnung des Hosts, der die Arbeitsstationen oder 
Benutzer kornmunikativ verbindet, aus einer Menge 
ausgew&hlt wird, die aus einem lokalen Netz und einem 
Mehrprogramm-Mehrprozessor-System wie z.B. VM besteht. 

Ein Verfahren nach einem der obigen Anspruche, bei dem 
die Schritte des Verfahrens femer das Modifizieren der 
Suchtiefe N allein durch deren Neuverschltisselung 
umfassen. 
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- VERSCHLUSSELTER WERT 3 MIT AUSGANGSPUNKT=CPUID ■ 
GEORG r BENUT2ER 1. Z.B. Wl IN FIGUR 1 V 
HANS • /* BENUTZER 2, Z.B. W2 IN FIGUR 1 */ 
MARIE /* BENUTZER 3, Z.B. W3 IN FIGUR 1 V 
ROSA r BENUTZER 4, Z.B. W4 IN RGUR 1 V 
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Fig. 2 



l— ACL-2 



- VERSCHLUSSELTER WERT 5 MfT AUSGANGSPUNKT-CPUID - 
GEORG r BENUTZER 1, Z.B. Wl IN FIGUR 1 7 
HANS /* BENUTZER 2, Z.B. W2 IN RGUR 1 V 
MARE /* BENUTZER 3, Z.B. W3 IN RGUR 1 V 
ROSA r BENUTZER 4, Z.B. W4 IN RGUR 1 */ 
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ACL-3 

1 

GEORG 
HANS 
MARIE 
ROSA 



r BENUTZER 1, Z.B. Wl IN RGUR 1 V 
r BENUTZER 2, Z.B. W2 IN RGUR 1 V 
/* BENUTZER 3, Z.B. W3 IN RGUR 1 */ 
r BENUTZER 4, Z.B. W4 IN FIGUR 1 V 



I — ACL-4 



ZUGANGSKONTROLLISTE, BEISPia 3 
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- VERSCHLUSSELTER WERT 3 MIT AUSGANGSPUNKT=ANDERE CPUID ALS HOST-CPUID • 
GEORG r BENUTZER 1, Z.B. Wl IN RGUR 1 V 
HANS /* BENUTZER 2, Z.B. W2 IN RGUR 1 V 
MARIE /* BENUTZER 3, Z.B. W3 IN RGUR 1 V 
ROSA r BENUTZER 4, Z.B. W4 IN RGUR 1 '/ 
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Fig. 5 



